-- Скоупы прав доступа для API-ключей (MCP и REST /api/rag/*).
-- NULL = полный доступ ко всем формам и справочникам (поведение старых ключей не меняется).

ALTER TABLE organization_api_keys
  ADD COLUMN IF NOT EXISTS scopes jsonb;